Política de divulgación de vulnerabilidades
Chargezen agradece los reportes de vulnerabilidades de seguridad que encuentres. Esta política es solo para reportes: no está autorizado realizar pruebas activas en los sistemas de producción de Chargezen.
Reportar una vulnerabilidad
¿Encontraste un problema de seguridad? Repórtanoslo y no sigas investigándolo. Agradecemos tu ayuda para mantener seguro a Chargezen.
Tiempo de respuesta previsto
24 horas
Problemas críticos: el mismo día hábil
Qué puedes reportar
- Problemas de seguridad que notes al usar Chargezen para tu negocio
- Credenciales, claves o datos de clientes de Chargezen que encuentres expuestos públicamente
- Problemas que encuentres al revisar sin conexión el código abierto de github.com/chargezen
No autorizado
- Pruebas activas en los sistemas de producción de Chargezen, incluidos escaneos, pruebas de penetración y fuzzing
- Crear cuentas, espacios de trabajo o puestos de personal para probar los servicios
- Pruebas de carga, de estrés o comparativas de rendimiento de los servicios
- Ataques de denegación de servicio (DoS/DDoS)
- Ataques de seguridad física o ingeniería social
- Acceder, cambiar o conservar datos que no son tuyos
Pautas de divulgación responsable
Lo que te pedimos
- Describe qué notaste y dónde lo notaste
- Danos un plazo razonable para corregir los problemas antes de divulgarlos (90 días)
- No accedas, modifiques ni elimines datos de otras personas
- No pruebes, escanees ni sondees los sistemas de producción de Chargezen
- Detente en cuanto notes un problema y no sigas investigándolo
- No conserves los datos que hayas visto y elimínalos en cuanto los hayas reportado
Lo que prometemos
- Responder a los reportes dentro de 24 horas
- Trabajar contigo para entender y validar los problemas
- Mantenerte informado del avance de la corrección
- No emprender acciones legales por reportes de buena fe hechos conforme a esta política
- Darte reconocimiento público (con tu permiso)
Qué incluir en tu reporte
Los reportes claros nos ayudan a corregir los problemas más rápido. No pagamos recompensas por reportes ni por pruebas.
Tipo de vulnerabilidad
Clasificación (XSS, SQLi, IDOR, etc.)
URL o endpoint afectado
Ubicación específica de la vulnerabilidad
Lo que viste
Qué pasó durante el uso normal y cómo lo encontraste
Evidencia
Capturas de pantalla o notas de lo que viste, sin código de explotación
Evaluación del impacto
Impacto potencial si un atacante lo explota
Solución sugerida
Recomendaciones opcionales, pero bienvenidas
Protección jurídica
Esta protección cubre los reportes de buena fe de una vulnerabilidad que descubriste sin pruebas activas, cuando te detuviste al notarla, no accediste a ella ni la explotaste más y no conservaste datos. No cubre las pruebas activas en sistemas de producción, que nuestros Términos de servicio prohíben. Para esos reportes:
- Sin acciones legales: no emprenderemos acciones civiles ni penales contra ti por tu reporte.
- Colaboración: trabajaremos contigo para entender y resolver el problema rápidamente.
- Útil: coordinaremos la divulgación contigo y te daremos reconocimiento (si lo deseas) al publicar las correcciones.
¿Listo para reportar?
Ayúdanos a mantener seguro a Chargezen. Si encontraste una vulnerabilidad, repórtala a nuestro equipo de seguridad.
